Beim Password Spraying testen Angreifer nicht viele Passwörter gegen ein einzelnes Konto, sondern jeweils ein Passwort gegen eine große Zahl gültiger Benutzernamen. Huntress beschreibt den üblichen Ablauf so: Zunächst werden Benutzernamen etwa über LinkedIn, Unternehmenswebseiten, Daten aus früheren Lecks oder Phishing gesammelt. Danach entsteht eine kurze Liste naheliegender oder bereits kompromittierter Passwörter, darunter gebräuchliche Varianten, Begriffe mit Unternehmensbezug oder saisonale Kennwörter. Diese werden dann in langsamer Folge über viele Konten hinweg ausprobiert, um Sperrschwellen nicht auszulösen.

Die von Huntress beobachtete Kampagne ging darüber hinaus. Nach Angaben des Unternehmens verwendeten die Angreifer gültige Kombinationen aus Benutzername und Passwort aus früheren Sicherheitsvorfällen weiter, wenn diese nie geändert worden waren. Das machte erfolgreiche Anmeldungen wertvoller als gewöhnliche Passwort-Treffer.

Zentral für die Kampagne war der Missbrauch von Resource Owner Password Credentials. Dieser veraltete OAuth-Grant, der in OAuth 2.1 als überholt gilt, sendet Benutzername und Passwort direkt an den Endpunkt „/token“ und unterstützt keine interaktive MFA-Abfrage. Für Angreifer bedeutet das laut Huntress: Ein wiederverwendetes Passwort, das noch funktioniert, kann unmittelbar in eine aktive Sitzung führen.

Gerade deshalb waren auch Unternehmen mit MFA nicht automatisch geschützt. Huntress analysierte 23 betroffene Unternehmen. Acht davon hatten überhaupt keine MFA im Einsatz. Bei den übrigen 15 griff MFA bei den Anmeldeversuchen der Angreifer nicht, weil die Richtlinien nur für bestimmte Anwendungen oder Benutzergruppen galten, auf vertrauenswürdige Standorte setzten oder nur im Berichtsmodus liefen.

Andrew „Spike“ Brandt, Principal Threat Intelligence Incident Commander bei Huntress, beschreibt ROPC so: „Auch wenn wir es eine Autorisierungsmethode nennen, ist es technisch gesehen eine Methode zur Vortäuschung einer Identität.“ Nach den erfolgreichen Anmeldungen sah Huntress in Verbindung mit der LSHIY-Kampagne keine Aktivitäten nach der Kompromittierung. Rich Mozeleski, Staff Product Manager bei Huntress, vermutet deshalb, dass der Angreifer Zugangsdaten für einen Weiterverkauf im Darknet validiert haben könnte.

LSHIY stellte die Angriffe aus dem ursprünglichen IP-Bereich später ein und bestätigte laut Huntress, dass der Angreifer das hauseigene Bring-your-own-IP-Angebot genutzt hatte. Diese legitime Dienstleistung erlaubt es Kunden eines Providers, Datenverkehr über selbst kontrollierte IP-Bereiche zu routen. Huntress zufolge erschwert das Sperren und Erkennen, weil Angreifer leichter zwischen IP-Bereichen und Anbietern wechseln können. Die Angriffe kamen zunächst aus dem IPv6-Bereich 2a0a:d683::/32. Nachdem LSHIY die ursprüngliche Aktivität beendet hatte, verlagerten sich die Versuche zunächst in von FranTech gehostete IPv6-Bereiche; spätere Aktivität erschien bei 3xK Tech über IPv4.

Einen bestimmten Wirtschaftszweig sah Huntress bei der Kampagne nicht im Fokus. Ausgenutzt wurden vielmehr Organisationen, in denen Passwortvorgaben oder MFA-Richtlinien Lücken ließen. Als Gegenmaßnahmen nennt Huntress unter anderem bessere Passwort-Hygiene, die Deaktivierung von ROPC oder darauf angewiesenen Anwendungen, die Beschränkung der Azure-CLI-Anwendung für Nicht-Administratoren sowie MFA ohne Ausnahmen für alle Benutzer, alle Cloud-Anwendungen und alle Client-App-Typen. Zudem empfiehlt das Unternehmen, Authentifizierungsmethoden zu blockieren, die eine MFA-Anforderung nicht erfüllen können, und eine starke Conditional-Access-Einstellung wie userStrongAuthClientAuthNRequired zu verwenden. Mozeleski formuliert es so: „Angemessen konfigurierte und verwaltete bedingte Zugriffssteuerung ist eine Superkraft.“